CVE-2026-40048

概要

Camel-PQC の `FileBasedKeyLifecycleManager` クラスは、設定されたキーディレクトリ内の `<keyId>.key` ファイルの内容を、`ObjectInputFilter` やクラスローディング制限を適用せずに `java.io.ObjectInputStream` を使用してデシリアライズします。`java.security.KeyPair` へのキャストは `readObject()` が戻った後にのみ評価されるため、デシリアライズされたオブジェクト内の `readObject()` の副作用は、型チェックの前に実行されます。Camel アプリケーションで使用されるキーディレクトリに書き込める攻撃者 — 例えば、ディレクトリへのパストラバーサル、キーが保存されているボリュームのファイルシステム権限の誤設定、侵害されたキープロビジョニングパイプライン、またはシンボリックリンク攻撃を通じて — は、細工されたシリアライズ済み Java オブジェクトを配置でき、通常のキーライフサイクル操作中にデシリアライズされると、アプリケーションのコンテキストで任意のコード実行が発生します。この問題は Apache Camel に影響します: 4.19.0 から 4.20.0 未満、4.18.0 から 4.18.2 未満。ユーザーは、`java.io.ObjectInputStream` ベースのキーおよびメタデータストレージを標準の PKCS#8 (秘密鍵) / X.509 SubjectPublicKeyInfo (公開鍵) Base64 JSON エンコーディングに置き換えることで問題を修正するバージョン 4.20.0 にアップグレードすることを推奨されます。4.18.x LTS リリースストリームのユーザーは、4.18.2 にアップグレードしてください。

• CVE-2026-40048PoC

  CVE-2026-40048 の再現コード: Apache Camel camel-pqc FileBasedKeyLifecycleManager の安全でないデシリアライズ (RCE)

• CVE-2026-43867PoC

  CVE-2026-43867 の再現コード — Apache Camel camel-pqc AwsSecretsManagerKeyLifecycleManager における安全でないキーメタデータの逆シリアル化 (RCE)

• CVE-2026-46590